如何用php和mysql创建一个安全的会话管理系统(create a secure session management system in php and mysql)

本指南将向您展示如何在mySQL数据库中安全地存储会话。我们还将对进入数据库的所有会话数据进行加密，这意味着如果有人试图侵入数据库，所有会话数据都将通过256位AES加密进行加密。...

方法1方法1/3：配置mysql数据库

1创建一个MySQL数据库。在本指南中，我们将创建一个名为“安全会话”的数据库。请参见如何在phpMyAdmin中创建-a-Database-in-phpMyAdmin。也可以使用下面的SQL代码为您创建一个。创建数据库代码：创建数据库“安全会话”；注意：有些托管服务不允许您通过phpMyAdmin创建数据库，请学习如何在cPanel中创建数据库。

2创建仅具有选择、插入和删除权限的用户。这意味着，如果我们的脚本中存在安全漏洞，黑客就无法从我们的数据库中删除表。如果你真的很偏执，为每个函数创建一个不同的用户。用户：“sec_用户”密码：“eKcGZr59zAa2BEWU”创建用户代码：创建用户“sec_用户”@“本地主机”，由“eKcGZr59zAa2BEWU”标识；在“安全会话”上授予选择、插入、更新和删除权限。*至“secu user”@“localhost”；注意：在自己的服务器上运行时，最好更改上面代码中的密码。（确保您也更改了PHP代码。）记住，它不需要是你能记住的密码，所以make尽可能复杂。这是一个随机密码生成器。

3创建一个名为“sessions”的MySQL表。下面的代码创建了一个包含4个字段（id、set_time、data、session_key）的表。创建“sessions”表：创建表`sessions`（`id`char（128）NOT NULL，`set_time`char（10）NOT NULL，`data`text NOT NULL，`session_key`char（128）NOT NULL，主键（`id`）ENGINE=InnoDB DEFAULT CHARSET=latin1；我们对已知长度的字段使用CHAR数据类型，因为字段“id”和“session_key”的长度始终为128个字符。在这里使用CHAR可以节省处理能力。

方法2方法2/3：创建会话。班php文件

1创建类。要开始一个新的课程，你需要输入下面的代码：new class:class session{

2创建构造函数。每次使用“会话”类创建对象的新实例时，都会调用此函数。你可以在这里阅读PHP _构造函数。这个函数设置我们的自定义会话处理程序，以便在实例化类（即，make/build/constructed）时可以使用它__构造函数：function _construct（）{//设置自定义会话函数。会话_set _save _处理程序（数组（$this，'open'）、数组（$this，'close'）、数组（$this，'read'）、数组（$this，'write'）、数组（$this，'destroy'）、数组（$this，'gc'）；//当使用对象作为保存处理程序时，此行可防止意外影响。注册_shutdown _函数（'session write _close'））

3创建启动会话功能。每次启动新会话时都会调用此函数，请使用它而不是会话_start（）；。查看代码中的注释，了解每一行的作用。start_session函数：函数start_session（$session_name，$secure）{//确保会话cookie不能通过javascript访问。$httponly=true；//用于会话的哈希算法。（使用Hash_algos（）获取可用哈希的列表。）$session_Hash='sha512'；//如果（在_数组（$session_Hash，Hash_algos（））中）{//设置has函数。ini_Set（'session.hash_function'，$session_hash）；}/哈希的每个字符有多少位。//可能的值是'4'（0-9，a-f），'5'（0-9，a-v）和'6'（0-9，a-z，a-z，“-”，“，”）。ini_集合（'session.hash_bits_per_character'，5）；//强制会话仅使用cookie，而不是URL变量。ini_set（'会话。仅使用_cookies'，1）；//获取会话cookie参数$cookieParams=session_Get_cookie_params（）；//设置参数session_Set_cookie_params（$cookieParams[“lifetime”]，$cookieParams[“path”]，$cookieParams[“domain”]，$secure，$httponly）；//更改会话名称session_name（$session_name）；//现在我们启动会话_start（）；/此行将重新生成会话并删除旧会话。//它还会在数据库中生成一个新的加密密钥。会话_重新生成_id（true）；}

4创建开放功能。当我们启动一个新的会话时，PHP会话将调用这个函数，我们使用它来启动一个新的数据库连接。open function:function open（）{$host='localhost'；$user='sec_user'；$pass='eKcGZr59zAa2BEWU'；$name='secure_sessions'；$mysqli=new mysqli（$host，$user，$pass，$name）；$this-&gt；db=$mysqli；return true；}

5创建关闭功能。当会话需要关闭时，将调用此函数。关闭函数：函数close（）{$this-&gt；db-&gt；close（）；return true；}

6创建读取功能。当我们试图访问一个会话时，例如当我们使用echo$_session['something']时，PHP将调用这个函数；。因为在一个页面上可能会有许多对这个函数的调用，所以我们利用了预先准备好的语句，不仅是为了安全，也是为了性能。我们只需准备一次语句，就可以执行多次。我们还对数据库中加密的会话数据进行解密。我们在会话中使用256位AES加密。read function:function read（$id）{if（！isset（$this-&gt；read_stmt））{$this-&gt；read_stmt=$this-&gt；db-&gt；prepare（“从id=？LIMIT 1）的会话中选择数据”）}$这个-&gt；阅读_stmt-&gt；绑定参数（'s'，$id）$这个-&gt；阅读_stmt-&gt；执行（）$这个-&gt；阅读_stmt-&gt；存储结果（）$这个-&gt；阅读_stmt-&gt；绑定结果（$data）$这个-&gt；阅读_stmt-&gt；fetch（）$key=$this-&gt；getkey（$id）$数据=$this-&gt；解密（$data，$key）；返回$data；}

7创建写函数。当我们为会话赋值时，可以使用这个函数，例如$_session['something']='something'；。该函数对插入数据库的所有数据进行加密。write函数：函数write（$id，$data）{//Get unique key$key=$this-&gt；getkey（$id）；//加密数据$data=$this-&gt；Encrypt（$data，$key）；$time=time（）；if（！isset（$this-&gt；w_stmt））{$this-&gt；w_stmt=$this-&gt；db-&gt；prepare（“替换为会话（id，set_time，data，session key）值（？，，，，，，，？）”）$这个-&gt；w_stmt-&gt；绑定参数（'siss'，$id，$time，$data，$key）$这个-&gt；w_stmt-&gt；执行（）；返回true；}

8.创建销毁功能。该函数从数据库中删除会话，php在调用session__destroy（）等函数时使用该函数；。destroy function:function destroy（$id）{if（！isset（$this-&gt；delete_stmt））{$this-&gt；delete_stmt=$this-&gt；db-&gt；prepare（“从id=？”的会话中删除”）}$这个-&gt；删除_stmt-&gt；绑定参数（'s'，$id）$这个-&gt；删除_stmt-&gt；执行（）；返回true；}

9创建gc（垃圾收集器）函数。此函数是垃圾收集器函数，它被调用以删除旧会话。调用此函数的频率由两个配置指令session决定。gc_概率和会话。除数。gc（）函数：函数gc（$max）{if（！isset（$this-&gt；gc_stmt））{$this-&gt；gc_stmt=$this-&gt；db-&gt；prepare（“从设置时间的会话中删除”）$旧=时间（）-$max$这个-&gt；gc_stmt-&gt；绑定参数（'s'，$old）$这个-&gt；gc_stmt-&gt；执行（）；返回true；}

10创建getKey函数。此函数用于从会话表中获取用于加密的唯一密钥。如果没有会话，它只返回一个新的随机密钥进行加密。getkey（）函数：私有函数getkey（$id）{if（！isset（$this-&gt；key_stmt））{$this-&gt；key_stmt=$this-&gt；db-&gt；prepare（“从id=？LIMIT 1）的会话中选择会话_key”）；}$这个-&gt；关键时刻-&gt；绑定参数（'s'，$id）$这个-&gt；关键时刻-&gt；执行（）$这个-&gt；关键时刻-&gt；存储结果（）；如果（$this-&gt；key_stmt-&gt；num_rows==1）{$this-&gt；key_stmt-&gt；bind_result（$key）；$this-&gt；key_stmt-&gt；fetch（）；return$key；}else{$random_key=hash（'sha512'，uniqid（mt_rand（1，mt_getrandmax（）），true））；返回$random_key；}

11创建加密和解密函数。这些函数对会话的数据进行加密，它们使用数据库中的加密密钥，每个会话的加密密钥不同。我们在加密中不直接使用该密钥，但我们使用它使密钥散列更加随机。encrypt（）和decrypt（）函数：私有函数encrypt（$data，$key）{$salt='cH！swe！retReGu7W6bEDRup7usuDUh9THeD2CHeGE*ewr4n39=E@rAsp7c-Ph@pH'; $key=substr（散列（'sha256'，$salt.$key.$salt），0,32）$iv_size=mcrypt_get_iv_size（mcrypt_RIJNDAEL_256，mcrypt_MODE_ECB）$iv=mcrypt_create_iv（$iv_大小，mcrypt_兰德）$encrypted=base64_encode（mcrypt_encrypt（mcrypt_RIJNDAEL_256，$key，$data，mcrypt_MODE_ECB，$iv））；返回$encrypted；}私有函数decrypt（$data，$key）{$salt='cH！swe！retregu7w6bedrup7usuduh9thedhege*ewr4n39=E@rAsp7c-Ph@pH'; $key=substr（散列（'sha256'，$salt.$key.$salt），0,32）$iv_size=mcrypt_get_iv_size（mcrypt_RIJNDAEL_256，mcrypt_MODE_ECB）$iv=mcrypt_create_iv（$iv_大小，mcrypt_兰德）$decrypted=mcrypt_decrypt（mcrypt_RIJNDAEL_256，$key，base64_decode（$data），mcrypt_MODE_ECB，$iv）$decrypted=rtrim（$decrypted，“\0”）；返回$decrypted；}

12下课。在这里，我们只需在括号中结束类：end Class:}

方法3方法3/3：创建包含会话的页面

1使用自定义会话管理器的会话。以下是你将如何开始新的课程；你需要在你想访问会话的每个页面上都包含这个，用它代替会话_start（）；启动会话：require（'session.class.php'）$会话=新会话（）；//如果使用https$session-&gt；启动会话（“s”，错误）$_会话['something']=“A value.”；echo$_会话['something']；